Web 管理异常、HTTPS/TLS 兼容性及管理员密码恢复问题
- 0关注
- 0收藏，52浏览
问题描述：
现网使用多台 H3C 路由器、防火墙、核心交换机、无线 AC 及接入交换机，设备已运行约 7—8 年。 一、Web 管理页面无法正常访问 部分设备通过 Console 查询已启用 HTTP/HTTPS 服务，但使用最新版 Chrome、Edge 浏览器访问时，仍无法正常进入 Web 管理界面。 例如访问 H3C F1000-AK125 防火墙 `192.168.10.2`，浏览器提示： “此网站无法提供安全连接，使用了不受支持的协议。” 错误代码：`ERR_SSL_VERSION_OR_CIPHER_MISMATCH`。 怀疑与旧版 TLS 协议、加密套件、HTTPS 服务配置或浏览器兼容性有关， 二、部分设备 Web 页面可以打开，但连接不安全 例如访问路由器 `https://192.168.10.1`，可以正常显示 H3C Web 登录界面，但浏览器地址栏提示“不安全”。希望确认是证书信任问题、IP 地址与证书不匹配，还是 HTTPS 安全配置问题。 三、部分设备管理员账号或密码遗忘 部分设备 Web 登录页面可以正常打开，但原管理员用户名或密码已遗忘，无法登录管理界面。目前可以通过 Console 串口连接部分设备，希望在不清空配置、不恢复出厂设置的情况下恢复 Web 管理权限。目前所有设备外生产环境正常使用 四、已进行的排查 通过 Xshell Console 连接部分设备，查询设备版本、运行配置及 HTTP/HTTPS 服务状态。 已确认部分设备启用了 HTTP/HTTPS，但浏览器仍存在协议不兼容或安全提示。 使用 Chrome、Edge 测试访问管理 IP，出现上述不同问题。 已对部分设备进行配置查询及 TXT 日志备份，暂未执行重启、恢复出厂设置或固件升级。 五、希望 大佬协助解决 各型号当前固件是否支持 TLS 1.2 及以上版本？如何查询当前 TLS 协议、加密套件和 HTTPS 配置？ 如何通过 CLI 正确配置 HTTP/HTTPS、证书及相关安全参数，使 Web 管理兼容现代浏览器？ 如果现有固件不支持，是否有官方推荐的稳定升级版本？请提供升级路径、操作手册及兼容性说明。 管理员密码遗忘时，能否在已有 Console 管理权限的情况下，安全恢复或重新配置 Web 管理账户，同时保留现有业务配置？ 以上操作是否会导致设备重启、端口中断、网络断连或配置丢失？如何备份和回退？ 不同型号和软件版本的命令是否存在差异？希望提供对应的具体检查命令和处理步骤。 特别说明： 以上设备均为生产环境在用设备，承载办公网络、无线 AP、宿舍网络及监控业务。希望优先采用无需中断业务的方案，避免直接重启、恢复出厂设置或清空配置。涉及可能影响业务的操作，请提前说明风险和回退方式。
组网及组网描述：
一、主要设备型号及版本 现网主要使用以下 H3C 设备： 路由器：H3C MSR36-40（MSR3640），Comware 7.1.064，软件版本 R0615P13。 两台防火墙：H3C SecPath F1000-AK125，Comware 7.1.064，办公区域软件版本 R9514P1801，另一个区域软件版本 R9514P17。 核心交换机：H3C S7503E-M，Comware 7.1.070，软件版本 R7557P03。 无线 AC：H3C WX2560H，软件版本 R5226。 接入交换机：H3C S5130S-28P-EI、S5130S-28P-HPWR-EI、S5130S-10P-HPWR-EI 等，已记录 Comware 7.1.070 R6126P20。 其他交换机：H3C S5560-30F-EI 等。 二、办公楼主要网络结构 运营商网络 → MSR36-40 路由器 → F1000-AK125 防火墙 → S7503E-M 办公业务核心 → 楼层交换机、WX2560H AC、无线 AP 和办公终端。 主要已知接口： 路由器 GE0/2：192.168.10.1 防火墙 GE1/0/2：192.168.10.2 防火墙 GE1/0/1：192.168.30.1 办公核心 VLAN30：192.168.30.2 办公核心管理 VLAN2000：192.168.200.254 交换机管理网段主要为 192.168.200.0/24，无线 AP 主要位于 192.168.110.0/24 和 192.168.120.0/24。 办公无线 AC 通过机房交换机连接业务核心 三、另一区域主要网络结构 办公楼防火墙 → 宿舍 MSR3640 路由器 → 宿舍 F1000-AK125 防火墙 → 宿舍 S7503E-M 业务核心 → 楼层交换机、无线 AC 及 AP。 主要接口： 办公楼防火墙 GE1/0/3：192.168.20.1 宿舍路由器 GE0/0：192.168.20.2 宿舍路由器 GE0/2：192.168.40.1 宿舍防火墙 GE1/0/2：192.168.40.2 宿舍防火墙 GE1/0/1：192.168.50.1 宿舍业务核心 VLAN4000：192.168.50.2 宿舍主要使用 VLAN60、70、80、90，其中 VLAN70 用于 AP 管理，VLAN90 用于交换机管理。无线 AC 已知管理地址为 192.168.70.253。 四、独立监控网络 办公楼与另一区域均设有独立监控交换网络，主要使用 S7503E-M、S5130S 系列交换机。部分监控交换机没有配置独立管理 IP，当前主要依靠 Console 维护。 五、现网规模和运维限制 园区网络包含多台核心、路由、防火墙、无线控制器及数十台交换机，连接数十台 AP 和大量监控摄像头。 目前部分设备通过 Console 可以正常查询配置，但 Web 管理存在兼容性或密码遗忘问题。 由于设备处于生产运行状态，希望在保留现有 VLAN、静态路由、NAT、防火墙安全策略、无线控制和监控配置的前提下，恢复安全、稳定的 Web 管理功能。
一、Web无法访问（ERR_SSL_VERSION_OR_CIPHER_MISMATCH）
排查步骤：
1. 确认HTTPS服务及协议版本：
display ip https
查看SSL版本。若显示仅TLS1.0，需升级软件版本或调整SSL策略。
2. 临时验证（不升级版本）：
在设备上关闭HTTPS强制，改用HTTP访问测试：
undo ip https enable
ip http enable
若HTTP可正常打开，确认是TLS兼容性问题。
3. 根本解决：
升级设备软件到支持TLS 1.2的版本（F1000-AK125建议升级到R9系列或最新版本）。
若无法升级，可尝试配置SSL服务端策略强制使用高版本（部分版本支持）：
ssl server-policy web
ciphersuite rsa_aes_128_cbc_sha
session timeout 5
ip https ssl-server-policy web
但老版本可能不支持该命令，需以实际设备为准。
二、Web可打开但提示“不安全”
这是证书信任问题，设备默认使用自签名证书，浏览器不信任。
解决方式：
1. 导入受信任证书（推荐）：
生成或申请证书，通过FTP/TFTP上传至设备。
配置PKI域并绑定到HTTPS：
pki import domain web pem local filename cert.cer
pki import domain web pem local key filename key.pem
ip https certificate domain web
2. 若仅内部使用，可在浏览器中手动信任该自签名证书（点击“高级”→“继续访问”），但每次换设备或浏览器需重复操作。
管理员密码恢复：
Console口恢复步骤（以F1000-AK125为例）：
1. Console线连接，重启设备。
2. 启动时按Ctrl+B进入BootWare菜单。
3. 选择“Skip Authentication for Console Login”或类似选项（不同版本菜单略有差异）。
4. 启动后通过Console登录无需密码。
5. 进入系统视图修改密码：
local-user admin
password simple 新密码
若BootWare菜单无跳过认证选项，需在启动时按Ctrl+B进入扩展菜单，选择“Clear Super Password”清除特权密码，再通过Console重置。
建议： 对于运行7-8年的设备，优先考虑升级软件版本到最新稳定版，可同时解决TLS兼容性、安全漏洞及新特性支持问题。升级前务必备份配置。
各型号 TLS1.2 支持情况（你这批设备）
- MSR36-40 R0615P13、F1000-AK125 R9514P17/R9514P1801、S7503E-M R7557P03、WX2560H R5226、S5130S-EI R6126P20
- 硬件层面原生支持 TLS1.2，但老版本默认 SSL 策略优先 TLS1.0、弱加密套件（RC4、3DES），浏览器握手失败报
ERR_SSL_VERSION_OR_CIPHER_MISMATCH - 不支持 TLS1.3（这批老平台所有版本都没有 TLS1.3）
- 区分：部分早期 R 版本，全局 ssl 命令不生效，必须单独创建 ssl server-policy 绑定给 ip https，这是 F1000-AK125 最常见踩坑点H3C
- 硬件层面原生支持 TLS1.2，但老版本默认 SSL 策略优先 TLS1.0、弱加密套件（RC4、3DES），浏览器握手失败报
- 版本短板：
- MSR36-40 R0615P13：SSL 套件偏少，部分现代浏览器无交集；
- F1000-AK125 R9514P17 比 R9514P1801 加密套件更老，更容易握手失败；
- S5130S-EI R6126P20：接入交换机 Web SSL 策略最简单，很多版本不支持自定义 ssl 策略，只能临时 HTTP 或者升级 IPE。
查询当前 SSL/HTTPS 配置命令（Console）
display ip https
display ssl server-policy
display ssl version
display current-configuration | include ssl
- 如果
display ip https输出里没有ssl-server-policy xxx，说明 HTTPS 在用默认内置策略，就是兼容性差的根源。
二、两类 Web 故障处理（优先不升级、在线调 SSL，业务无中断）
故障 A：ERR_SSL_VERSION_OR_CIPHER_MISMATCH，打不开 HTTPS
✅ 方案：新建 SSL 服务器策略，只保留 TLS1.2、AES 强套件，绑定给 HTTPS（在线配置，不重启、不丢业务）
system-view
# 1、创建SSL策略
ssl server-policy https-tls12
# 关闭老旧版本，只保留TLS1.2
undo version ssl3.0
undo version tls1.0
undo version tls1.1
# 配置加密套件（按现代浏览器支持顺序，AES优先）
cipher-suite rsa_aes_256_cbc_sha rsa_aes_128_cbc_sha dhe_rsa_aes_256_cbc_sha dhe_rsa_aes_128_cbc_sha
quit
# 2、把HTTPS绑定这个策略（关键！老防火墙/路由器不绑定策略就走默认弱套件）
ip https ssl-server-policy https-tls12
ip https enable
save
注意：
- 部分 S5130S 老 R6126 版本不支持自定义 ssl server-policy，这个命令敲报错，这种设备只能临时 HTTP 管理，或者升级 IPE；
- 配置完不需要重启设备，浏览器清缓存重试即可。
故障 B：能打开页面、但是提示 “不安全”
原因：设备出厂自签名证书，证书主体是设备名称，不是你的管理 IP，浏览器校验失败，不是 TLS 版本问题。 两个选择：
- 不折腾（运维常用）：接受不安全提示，浏览器高级→继续访问；
- 正式消除不安全提示：自建 PKI 域、导入内网 CA 签发证书（需要 CA 服务器，配置量大，生产不强制）；
不要用公网 CA，管理 IP 是内网私网 IP，公网 CA 无法签发 IP 证书。
临时应急方案（排查阶段）
开启 HTTP：ip http enable，用 http:// 管理 IP 访问，绕过 SSL 兼容问题；业务稳定后建议关闭 HTTP，只保留 HTTPS。
三、管理员密码遗忘，Console 可登录、保留全部配置（重点，无业务中断！）
✅ 这个操作不需要重启、不需要恢复出厂、不影响业务、原有 VLAN / 路由 / 策略 / 无线全部保留，只修改本地用户密码。 ⚠️前提：登录的账号是 network-admin 权限，并且 Web 账号是本地 AAA manage 类用户（不是 HWTACACS 远程纳管账号）
system-view
# 查看现有web用户，确认service-type https、user-role
display current-configuration | begin local-user
# 修改已有admin账号密码（推荐）
local-user admin class manage
password simple Admin@NewPass123
service-type https ssh terminal
user-role network-admin
quit
save
- 如果原来没有专门 Web 账号，新建一个：
local-user webadmin class manage
password simple Web@Pass123
service-type https
user-role network-admin
quit
save
坑点：
class manage不能丢，V7 区分 manage/network 用户，不加这个 web 登录直接报错；- 如果是远程 HWTACACS 认证，本地账号不生效，需要先改 domain 为本地，或者在 TACACS 侧改密码；
- 全程不重启、不覆盖配置，save 只是保存配置文件，业务不中断。
四、升级方案（上面 SSL 调优无效时再考虑，升级有风险，需要窗口）
原则：能通过 ssl 策略修好就不升级；升级是最后手段
各型号推荐稳定版本 & 升级路径
- MSR36-40：R0615P13 → 升级 R0620Pxx 稳定版，提升 SSL 套件兼容性；
- F1000-AK125：R9514P17 → R9514P1801（你已经有一台是这个，优先对齐）；
- S7503E-M：R7557P03，这个版本 SSL 兼容性尚可，优先调 SSL 策略，不着急升级；
- WX2560H：R5226，AC 版本改动影响 AP 在线，升级风险最高，尽量不动；
- S5130S-28P-EI：R6126P20 → R6381（最终收尾 IPE，之前你问过这个型号）
升级风险与回退（生产必看）
- 风险：升级需要重启设备，对应设备业务断流；防火墙 / 核心 / AC 影响最大，必须深夜维护窗口；
- 回退：升级前备份
startup.cfg；升级失败，BootWare 下指定旧版本镜像启动； - 备份标准流程（所有操作前都执行）
# 备份配置到TFTP
save
tftp 192.168.200.10 put startup.cfg
# 导出当前版本镜像（可选，用于回退）
固件获取：这批设备很多过保 / EOS，官网 SN 无权限下载，联系代理商或者 400 申请介质，不要第三方镜像。
五、不同平台命令差异说明
- 防火墙 F1000-AK 系列：必须绑定 ssl-server-policy 给 ip https，默认策略兼容性最差；
- MSR36 路由器：支持 ssl 策略，但部分老版本 cipher-suite 选项少；
- S7503E-M 核心：Comware710，SSL 特性最全，上面整套 ssl 命令全部支持；
- S5130S 接入交换机：R6126 早期版本不支持 ssl server-policy，只能 HTTP 或者升级 IPE；
- WX2560H AC：AC Web SSL 独立，优先不改动，尽量用 SSH 管理。
六、排查命令汇总（给你直接复制）
# 查看https状态
display ip https
# 查看ssl策略
display ssl server-policy
# 查看本地用户
display local-user
# 查看当前会话
display https session
# 调试（低峰）
debugging ssl packet
debugging ip https packet
七、运维操作顺序建议（按风险从低到高）
- Console 备份配置；
- 遗忘密码：直接修改 local-user 密码（零中断）；
- HTTPS 打不开：优先配置 ssl server-policy 锁定 TLS1.2；
- 策略配置报错（老交换机不支持 ssl 策略）：临时 HTTP；
- 全部调优无效 → 安排维护窗口升级镜像；
- 证书不安全，非必要不做 PKI 证书。
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论